BitLocker — где скачать, как настроить и как отключить. Включение или отключение Bitlocker в Windows

Доброго времени суток друзья.

Вы поставили пароль на определенную информацию в компьютере, а теперь хотите убрать его? Не знаете, как это сделать? В этой статье представлены простые инструкции, как отключить Bitlocker - ту самую программу, которая защищает ваши данные от взлома.

Bitlocker - это встроенная утилита в системы Windows, созданная для обеспечения безопасности важной информации от несанкционированного доступа. Установив ее, владелец компьютера ставит на все или отдельные файлы пароль. Приложение позволяет сохранить его на внешнем носителе или распечатать, чтобы оставлять PIN только в памяти, ведь она может и подкачать.

Шифрование информации заключается в том, что прога преобразует ее в специальный формат, который можно прочитать только после ввода пароля.

Если без него попытаться открыть файл, перед вами предстанут несвязанные между собой цифры и буквы.

Изначально можно настроить утилиту так, чтобы блокировка снималась, когда вставляется флешка с ключом. Лучше завести несколько носителей с паролем.

Важно! Если вы забудете и потеряете все ключи, вместе с ними утратите и доступ ко всем данным на диске (или на флеш накопителе) навсегда.

Впервые приложение начало работу в расширенной версии Windows Vista. Сейчас оно доступно и для других поколений этой системы.

Способы отключения Bitlocker

Чтобы отменить блокировку, не нужно быть хакером или профессиональным IT-шником. Все делается просто; разумеется, если вы сами поставили пароль, а не собираетесь взламывать чужие данные. Так и есть? Тогда приступим к разбору.

Есть несколько способов, как разблокировать файлы. Самый простой из них выглядит так:

• Кликните правой кнопкой мыши на нужном диске и в выпавшем окне нажмите «Управление БитЛокером»;

• Откроется новое меню, где следует выбрать пункт «Turn off» (отключить).

Когда вы переустанавливаете Windows 10 или другую версию ОС, вам потребуется приостановка шифрования. Чтобы ее выполнить, следуйте инструкции ниже:

• Открываете Пуск - Панель управления - Система и безопасность - Шифрование диска BitLocker;
• Выберите пункт «Приостановить защиту», или «Управление BitLocker» — далее «Оключить BitLocker» (В Win7) .
• Нажмите «Да» в подтверждение того, что вы сознательно отключаете ее.

Через это же меню можно вовсе выключить блокировку, нажав на соответствующую кнопку.

Имейте в виду, что Windows Vista и остальных версиях системы могут отличаться названия описанных выше разделов. Но в любом случае вы найдете нужные настройки через панель управления. Например, в Windows 8 вы можете открыть ее так:

Скажу честно, о том как отключить данный шифровальщик если утерян пароль я не знаю… Могу только порекомендовать отформатировать устройство — в следствии чего диск будет доступен для работы. Но при таком раскладе естественно пропадут все данные на нём.

Ну, а на этом всё, надеюсь был полезен.

До скорых встреч друзья!

По мнению специалистов, именно кража ноутбука является одной из основных проблем в сфере информационной безопасности (ИБ).

В отличие от других угроз ИБ, природа проблем «украденный ноутбук» или «украденная флешка» довольно примитивна. И если стоимость исчезнувших устройств редко превышает отметку в несколько тысяч американских долларов, то ценность сохраненной на них информации зачастую измеряется в миллионах.

По данным Dell и Ponemon Institute, только в американских аэропортах ежегодно пропадает 637 тысяч ноутбуков. А представьте сколько пропадает флешек, ведь они намного меньше, и выронить флешку случайно проще простого.

Когда пропадает ноутбук, принадлежащий топ-менеджеру крупной компании, ущерб от одной такой кражи может составить десятки миллионов долларов.

Как защитить себя и свою компанию?

Мы продолжаем цикл статей про безопасность Windows домена. В первой статье из цикла мы рассказали про настройку безопасного входа в домен, а во второй - про настройку безопасной передачи данных в почтовом клиенте:

1. Как при помощи токена сделать Windows домен безопаснее? Часть 1 .
2. Как при помощи токена сделать Windows домен безопаснее? Часть 2 .

В этой статье мы расскажем о настройке шифрования информации, хранящейся на жестком диске. Вы поймете, как сделать так, чтобы никто кроме вас не смог прочитать информацию, хранящуюся на вашем компьютере.

Мало кто знает, что в Windows есть встроенные инструменты, которые помогают безопасно хранить информацию. Рассмотрим один из них.

Наверняка, кто-то из вас слышал слово «BitLocker». Давайте разберемся, что же это такое.

Что такое BitLocker?

BitLocker (точное название BitLocker Drive Encryption) - это технология шифрования содержимого дисков компьютера, разработанная компанией Microsoft. Она впервые появилась в Windows Vista.

С помощью BitLocker можно было шифровать тома жестких дисков, но позже, уже в Windows 7 появилась похожая технология BitLocker To Go, которая предназначена для шифрования съемных дисков и флешек.

BitLocker является стандартным компонентом Windows Professional и серверных версий Windows, а значит в большинстве случаев корпоративного использования он уже доступен. В противном случае вам понадобится обновить лицензию Windows до Professional.

Как работает BitLocker?

Эта технология основывается на полном шифровании тома, выполняемом с использованием алгоритма AES (Advanced Encryption Standard). Ключи шифрования должны храниться безопасно и для этого в BitLocker есть несколько механизмов.

Самый простой, но одновременно и самый небезопасный метод - это пароль. Ключ получается из пароля каждый раз одинаковым образом, и соответственно, если кто-то узнает ваш пароль, то и ключ шифрования станет известен.

Чтобы не хранить ключ в открытом виде, его можно шифровать либо в TPM (Trusted Platform Module), либо на криптографическом токене или смарт-карте, поддерживающей алгоритм RSA 2048.

TPM - микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования.

Модуль TPM, как правило, установлен на материнской плате компьютера, однако, приобрести в России компьютер со встроенным модулем TPM весьма затруднительно, так как ввоз устройств без нотификации ФСБ в нашу страну запрещен.

Использование смарт-карты или токена для снятия блокировки диска является одним из самых безопасных способов, позволяющих контролировать, кто выполнил данный процесс и когда. Для снятия блокировки в таком случае требуется как сама смарт-карта, так и PIN-код к ней.

Схема работы BitLocker:

1. При активации BitLocker с помощью генератора псевдослучайных чисел создается главная битовая последовательность. Это ключ шифрования тома - FVEK (full volume encryption key). Им шифруется содержимое каждого сектора. Ключ FVEK хранится в строжайшей секретности.
2. FVEK шифруется при помощи ключа VMK (volume master key). Ключ FVEK (зашифрованный ключом VMK) хранится на диске среди метаданных тома. При этом он никогда не должен попадать на диск в расшифрованном виде.
3. Сам VMK тоже шифруется. Способ его шифрования выбирает пользователь.
4. Ключ VMK по умолчанию шифруется с помощью ключа SRK (storage root key), который хранится на криптографической смарт-карте или токене. Аналогичным образом это происходит и с TPM.
   К слову, ключ шифрования системного диска в BitLocker нельзя защитить с помощью смарт-карты или токена. Это связано с тем, что для доступа к смарт-картам и токенам используются библиотеки от вендора, а до загрузки ОС, они, понятное дело, не доступны.
   Если нет TPM, то BitLocker предлагает сохранить ключ системного раздела на USB-флешке, а это, конечно, не самая лучшая идея. Если в вашей системе нет TPM, то мы не рекомендуем шифровать системные диски.
   И вообще шифрование системного диска является плохой идеей. При правильной настройке все важные данные хранятся отдельно от системных. Это как минимум удобнее с точки зрения их резервного копирования. Плюс шифрование системных файлов снижает производительность системы в целом, а работа незашифрованного системного диска с зашифрованными файлами происходит без потери скорости.
5. Ключи шифрования других несистемных и съемных дисков можно защитить с помощью смарт-карты или токена, а также TPM.
   Если ни модуля TPM ни смарт-карты нет, то вместо SRK для шифрования ключа VMK используется ключ сгенерированный на основе введенного вами пароля.

При запуске с зашифрованного загрузочного диска система опрашивает все возможные хранилища ключей - проверяет наличие TPM, проверяет USB-порты или, если необходимо, запрашивает пользователя (что называется восстановлением). Обнаружение хранилища ключа позволяет Windows расшифровать ключ VMK, которым расшифровывается ключ FVEK, уже которым расшифровываются данные на диске.

Каждый сектор тома шифруется отдельно, при этом часть ключа шифрования определяется номером этого сектора. В результате два сектора, содержащие одинаковые незашифрованные данные, будут в зашифрованном виде выглядеть по-разному, что сильно затруднит процесс определения ключей шифрования путем записи и расшифровки заранее известных данных.

Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления.

Для аварийных случаев (пользователь потерял токен, забыл его PIN-код и т.д.) BitLocker на последнем шаге предлагает создать ключ восстановления. Отказ от его создания в системе не предусмотрен.

Как включить шифрование данных на жестком диске?

Прежде чем приступить к процессу шифрованию томов на жестком диске, важно учесть, что эта процедура займет какое-то время. Ее продолжительность будет зависеть от количества информации на жестком диске.

Если в процессе шифрования или расшифровки компьютер выключится или перейдет в режим гибернации, то эти процессы возобновятся с места остановки при следующем запуске Windows.

Даже в процессе шифрования системой Windows можно будет пользоваться, но, вряд ли она сможет порадовать вас своей производительностью. В итоге, после шифрования, производительность дисков снижается примерно на 10%.

Если BitLocker доступен в вашей системе, то при клике правой кнопкой на названии диска, который необходимо зашифровать, в открывшемся меню отобразится пункт Turn on BitLocker .

На серверных версиях Windows необходимо добавить роль BitLocker Drive Encryption .

Приступим к настройке шифрования несистемного тома и защитим ключ шифрования с помощью криптографического токена.

Мы будем использовать токен производства компании «Актив». В частности, токен Рутокен ЭЦП PKI .

I. Подготовим Рутокен ЭЦП PKI к работе.

В большинстве нормально настроенных системах Windows, после первого подключения Рутокен ЭЦП PKI автоматически загружается и устанавливается специальная библиотека для работы с токенами производства компании «Актив» - Aktiv Rutoken minidriver.

Процесс установки такой библиотеки выглядит следующим образом.

Наличие библиотеки Aktiv Rutoken minidriver можно проверить через Диспетчер устройств .

Если загрузки и установки библиотеки по каким-то причинам не произошло, то следует установить комплект Драйверы Рутокен для Windows .

II. Зашифруем данные на диске с помощью BitLocker.

Щелкнем по названию диска и выберем пункт Turn on BitLocker .

Как мы говорили ранее, для защиты ключа шифрования диска будем использовать токен.
Важно понимать, что для использования токена или смарт-карты в BitLocker, на них должны находиться ключи RSA 2048 и сертификат.

Если вы пользуетесь службой Certificate Authority в домене Windows, то в шаблоне сертификата должна присутствовать область применения сертификата «Disk Encryption» (подробнее про настройку Certificate Authority в первой части нашего цикла статей про безопасность Windows домена).

Если у вас нет домена или вы не можете изменить политику выдачи сертификатов, то можно воспользоваться запасным путем, с помощью самоподписанного сертификата, подробно про то как выписать самому себе самоподписанный сертификат описано .
Теперь установим соответствующий флажок.

На следующем шаге выберем способ сохранения ключа восстановления (рекомендуем выбрать Print the recovery key ).

Бумажку с напечатанным ключом восстановления необходимо хранить в безопасном месте, лучше в сейфе.

На следующем этапе запустим процесс шифрования диска. После завершения этого процесса может потребоваться перезагрузить систему.

При включении шифрования иконка зашифрованного диска изменится.

И теперь, когда мы попытаемся открыть этот диск, система попросит вставить токен и ввести его PIN-код.

Развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструмента WMI или сценариев Windows PowerShell. Способ реализации сценариев будет зависеть от среды. Команды для BitLocker в Windows PowerShell описаны в статье .

Как восстановить данные, зашифрованные BitLocker, если токен потеряли?

Если вы хотите открыть зашифрованные данные в Windows

Для этого понадобится ключ восстановления, который мы распечатали ранее. Просто вводим его в соответствующее поле и зашифрованный раздел откроется.

Если вы хотите открыть зашифрованные данные в системах GNU/Linux и Mac OS X

Для этого необходима утилита DisLocker и ключ восстановления.

Утилита DisLocker работает в двух режимах:

• FILE - весь раздел, зашифрованный BitLocker, расшифровывается в файл.
• FUSE - расшифровывается только тот блок, к которому обращается система.

Для примера мы будем использовать операционную систему Linux и режим утилиты FUSE.

В последних версиях распространенных дистрибутивов Linux, пакет dislocker уже входит в состав дистрибутива, например, в Ubuntu, начиная с версии 16.10.

Если пакета dislocker по каким-то причинам не оказалось, тогда нужно скачать утилиту и скомпилировать ее:

tar -xvjf dislocker.tar.gz

Откроем файл INSTALL.TXT и проверим, какие пакеты нам необходимо доустановить.

В нашем случае необходимо доустановим пакет libfuse-dev:

sudo apt-get install libfuse-dev

Приступим к сборке пакета. Перейдем в папку src и воспользуемся командами make и make install:

cd src/ make make install

Когда все скомпилировалось (или вы установили пакет) приступим к настройке.

Перейдем в папку mnt и создадим в ней две папки:

• Encrypted-partition- для зашифрованного раздела;
• Decrypted-partition - для расшифрованного раздела.

cd /mnt mkdir Encrypted-partition mkdir Decrypted-partition

Найдем зашифрованный раздел. Расшифруем его с помощью утилиты и переместим его в папку Encrypted-partition:

dislocker -r -V /dev/sda5 -p recovery_key /mnt/Encrypted-partition(вместо recovery_key подставьте свой ключ восстановления)

Выведем на экран список файлов, находящихся в папке Encrypted-partition:

ls Encrypted-partition/

Введем команду для монтирования раздела:

mount -o loop Driveq/dislocker-file Decrypted-partition/

Для просмотра расшифрованного раздела перейдем в папку Encrypted-partition.

Резюмируем

Включить шифрование тома при помощи BitLocker очень просто. Все это делается без особых усилий и бесплатно (при условии наличия профессиональной или серверной версии Windows, конечно).

Для защиты ключа шифрования, которым шифруется диск, можно использовать криптографический токен или смарт-карту, что существенно повышает уровень безопасности.

Есть много причин почему шифруют системные диски. У каждого они свои и обсуждать их нет смысла, поэтому перейдем к настройке шифрования системного диска.
Сейчас большинство дисков современных ПК имеют таблицу разделов диска GPT , поэтому большинство старых систем шифрования не могут зашифровать системный диск (из-за того, что у них нет загрузчика EFI ). Поэтому остается единственный выбор — BitLocker .
Увы, но не все редакции Windows имеют возможность использовать BitLocker.
BitLocker и BitLocker To Go присутствует только в редакциях Windows Server , Enterprise и Professional . Если у вас другая версия, то придется либо обновиться до этих версий, либо отказаться от установки BitLocker .

Плюс для BitLocker желательно наличие Trusted Platform Module (TPM ) модуля в ПК/ноутбуке/планшете. TPM это специальный криптопроцессор, в котором хранятся криптографические ключи для защиты информации.

Если нет TPM модуля, то нужно сначала в групповой политике включить возможность использовать BitLocker без TPM , иначе мы увидим сообщение следующего вида (если TPM присутствует, то сразу переходим к установке шифрования):

Запуск BitLocker без TPM

Отустствие TPM модуля требует изменения локальной групповой политики.

Локальные групповые политики

Запускаем командную строку. В Windows 8.1 для этого нажимаем правой клавишей мыши в левом-нижнем углу экрана и выбираем Командная строка (администратор) .
В появившемся окне вводим:

gpedit . msc

и нажимаем Enter .

Редактор локальной групповой политики

В окне редактора локальной групповой политики (в левой части) переходим по адресу:
Конфигурация компьютера ->Административные шаблоны ->Компоненты Windows ->Этот параметр политики позволяет выбрать шифрование диска BitLocker ->Диски операционной системы
В правой части находим параметр: Этот параметр политики позволяет настроить требования дополнительной проверки подлинности при запуске и нажимаем на него 2 раза.

Настройка параметра

Теперь нужно внести изменения в данный параметр.
Включаем его.
Отмечаем чекбокс рядом с надписью: Этот параметр политики позволяет разрешить BitLocker без совместимого доверенного платформенного модуля (необходим пароль или ключ запуска на USB-устройстве флэш-памяти), а так же проверяем все остальные параметры. После этого нажимаем ОК и закрываем редактор. Редактирование локальной групповой политики закончено. Можно переходить к установке BitLocker .

Панель управления

Переходим в панель управления и выбираем Шифрование диска BitLocker .

Шифрование диска BitLocker

Выбираем Включить BitLocker напротив системного диска.

Способ разблокировки диска

Выбираем способ разблокировки диска. В данном случае выберем разблокировки через пароль, для этого нажимаем Введите пароль .

Создание пароля

Два раза вводим пароль (следуя рекомендациям) и нажимаем Далее .

Ключ восстановления

Выбираем куда сохранить ключ восстановления. На шифруемый диск его сохранить нельзя. Пока ключ не будет сохранен — продолжение установки невозможно. В нашем случае сохраняем его в файл (Сохранить в файл ).

Сохранение ключа

Выбираем место хранения ключа восстановления. Я его сохранил на флэш-диск.

Как будет шифроваться диск

В зависимости от потребностей, выбираем как будет шифроваться диск.
Можно выбрать из:
Шифровать только занятое место (выполняется быстрее, оптимально для новых ПК и дисков)
и
Шифровать весь диск (выполняется медленне, подходит для уже используемых ПК и дисков)

Зашифровать этот диск?

Перед началом шифрования рекомендуется Запустить проверку системы BitLocker . ПК перезагрузится и попросит ключ для расшифровки диска. Если все пройдет удачно — то начнется шифрование.

Шифрование начнется после перезагрузки компьютера

Нажимаем на иконку Bitlocker ‘а.

Перезагрузка

Выбираем Перезагрузить сейчас .

Ввод пароля

Вводим пароль для проверки Bitlocker . В дальнейшем этот экран будет появляться при каждой загрузке.

Выполняется шифрование

После загрузки автоматически начнется шифрование. Чтобы посмотреть оставшийся процент — нажимаем на иконку Bitlocker ‘а в системном трее.

Выполняется шифрование…

Идет шифрование диска. Скорость шифрования зависит от производительности ПК и от размера диска.

Шифрование диска завершено

Диск зашифрован. Данные в безопасности.

Заказать Аудит Безопасности или Пентест Вашей IT-инфраструктуры Быть уверенным в своей IT-инфраструктуре — это быть уверенным в завтрашнем дне.

Bitlocker - программа шифровальщик, которая впервые появилась в Windows 7. С ее помощью можно шифровать тома жестких дисков (даже системный раздел), USB и MicroSD флешки. Но часто бывает, что пользователь попросту забывает пароль от доступа к зашифрованным данным Bitlocker. Как разблокировать информацию на шифрованном носителе читайте в рамках данной статьи.

Способы расшифровки данных подсказывает сама программа на этапе создания блокировки:

1. Подготовьте накопитель, который нужно зашифровать. Нажмите по нему правой кнопкой мыши и выберите «Включить Bitlocker».
2. Выберите способ шифрования.
   Обычно, устанавливается пароль для снятия блокировки. Если же у вас есть USB-считыватель смарт-карт с обычной микросхемой стандарта ISO 7816, можете использовать его для разблокировки.
   Для шифрования доступны варианты по отдельности, так и оба сразу.
3. На следующем этапе, мастер шифрования диска предлагает варианты архивации ключа восстановления. Всего их три:
   
4. Когда выбрали вариант сохранения ключа восстановления, выберите часть накопителя, которую нужно расшифровать.
   
5. Перед началом шифрования данных, появится окно с уведомлением о процессе. Нажмите «Начать шифрование».
   
6. Подождите некоторое время до завершения процедуры.
7. Теперь накопитель зашифрован и будет запрашивать пароль (или смарт-карту) при первичном подключении.
   

Важно! Вы можете выбрать метод шифрования. Bitlocker поддерживает 128 и 256 битное шифрование XTS AES и AES-CBC.

Смена метода шифрования накопителя

В редакторе локальной групповой политики (не поддерживается Windows 10 Home) можно выбрать метод шифрования для дисков с данными. По умолчанию используется XTS AES 128 бит для не съемных накопителей и AES-CBC 128 бит для съемных жестких дисков и флешек.

Чтобы изменить метод шифрования:

После изменений в политике, Bitlocker сможет запаролить новый носитель с выбранными параметрами.

Как разблокировать?

Процесс блокировки предоставляет два способа для дальнейшего получения доступа к содержимому накопителя: пароль и привязка к смарт-карте. Если вы забыли пароль или утратили доступ к смарт-карте (а скорее не использовали ее вовсе), остается воспользоваться ключом восстановления. При запароливании флешки он создается обязательно, поэтому найти его можно:

1. Распечатанный на листе бумаге. Возможно вы его поместили к важным документам.
2. В текстовом документе (или на USB-флешке, если шифровали системный раздел). Вставьте USB флешку в компьютер и следуйте инструкциям. Если ключ сохранен в текстовый файл, прочтите его на незашифрованном устройстве.
3. В учетной записи Microsoft. Войдите в свой профиль на сайте в раздел «Ключи восстановления Bitlocker» .

После того как вы нашли ключ восстановления:

1. Нажмите правой кнопкой мыши по заблокированному носителю и выберите «Разблокировать диск».
2. В правом верхнем углу экрана появится окно ввода пароля Bitlocker. Нажмите на «Дополнительные параметры».
   
3. Выберите «Введите ключ восстановления».
4. Скопируйте или перепишите 48-значный ключ и нажмите «Разблокировать».
5. После этого, данные на носителе станут доступными для считывания.

В этой статье, предназначенной для ИТ-специалистов, даются ответы на часто задаваемые вопросы, касающиеся требований использования, обновления, развертывания и администрирования, а также политик управления ключами для BitLocker.

BitLocker - компонент для защиты данных, позволяющий выполнять шифрование жестких дисков на компьютере. Это понижает вероятность хищения данных, а также несанкционированного доступа к ним в случае хищения или утери компьютеров и съемных носителей. Кроме того, этот компонент обеспечивает более надежное удаление данных при списании компьютеров, защищенных с помощью BitLocker, так как восстановить удаленные данные на зашифрованном диске намного сложнее, чем на незашифрованном.

Общие сведения и требования

Обновление

Управление ключами

• Безопасность

  Другие вопросы

Общие сведения и требования

Как работает BitLocker?

Работа BitLocker с дисками операционной системы

BitLocker позволит снизить риск несанкционированного доступа к данным на утерянных или украденных компьютерах благодаря шифрованию всех пользовательских и системных файлов на диске операционной системы, включая файлы подкачки и файлы гибернации, а также благодаря проверке целостности компонентов ранней загрузки и данных конфигурации загрузки.

Работа BitLocker с встроенными дисками и съемными носителями

С помощью BitLocker можно зашифровать весь диск с данными. С помощью групповой политики можно указать на необходимость включения BitLocker для диска, прежде чем на него будут записаны данные. В BitLocker можно настроить различные методы разблокировки для дисков с данными, при этом такие диски поддерживают несколько способов разблокировки.

Поддерживает ли BitLocker многофакторную проверку подлинности?

Да, BitLocker поддерживает многофакторную проверку подлинности для дисков операционной системы. Если включить BitLocker на компьютере с доверенным платформенным модулем (TPM) версии 1.2 или более поздней, станут возможны дополнительные варианты проверки подлинности.

Каковы требования BitLocker к оборудованию и программному обеспечению?

Примечание

BitLocker не поддерживает динамические диски. Динамические тома данных не будут отображаться на панели управления. Том операционной системы всегда будет отображаться на панели управления, независимо от того, является ли он динамическим диском. Но если он динамический, его невозможно защитить с помощью BitLocker.

Почему нужны два раздела? Почему системный диск должен быть настолько большим?

Наличие двух разделов обязательно для работы BitLocker, так как проверка подлинности перед запуском и проверка целостности системы должны выполняться на разделе, не связанном с зашифрованным диском операционной системы. Такая конфигурация способствует защите операционной системы и данных на зашифрованном диске.

Какие доверенные платформенные модули (TPM) поддерживает BitLocker?

BitLocker поддерживает платформенный модуль версии 1.2 или более поздней.

Как узнать, установлен ли доверенный платформенный модуль (TPM) на компьютере?

Откройте консоль управления TPM (tpm.msc) и проверьте наличие доверенного платформенного модуля в разделе Состояние .

Можно ли использовать BitLocker на диске операционной системы без доверенного платформенного модуля?

Да, можно включить BitLocker на диске операционной системы без доверенного платформенного модуля версии 1.2 или более поздней, если встроенное ПО BIOS или UEFI поддерживает чтение с USB-устройства флэш-памяти в среде загрузки. Это возможно, так как BitLocker не разблокирует защищенный диск, пока не будет получен основной ключ тома BitLocker от доверенного платформенного модуля на компьютере или с USB-устройства флэш-памяти, содержащего ключ запуска BitLocker для этого компьютера. Но компьютеры без доверенного платформенного модуля не смогут выполнять проверку целостности системы, которая возможна при помощи BitLocker.

Чтобы определить, может ли компьютер считывать данные с USB-устройства при загрузке, воспользуйтесь возможностью проверить систему с помощью BitLocker во время настройки BitLocker. В ходе этой проверки выполняются тесты, подтверждающие возможность считывания данных с USB-устройств в нужное время, а также соответствие компьютера другим требованиям BitLocker.

Как обеспечить поддержку доверенного платформенного модуля в BIOS на компьютере?

Запросите у изготовителя компьютера встроенное ПО BIOS или UEFI, отвечающее стандартам организации TCG и следующим требованиям:

соответствие стандартам TCG для клиентского компьютера;

наличие механизма защищенного обновления, предотвращающего установку вредоносного встроенного ПО для BIOS или загрузочного ПО на компьютер.

Какие учетные данные необходимы для использования BitLocker?

Чтобы включать и выключать использование BitLocker или изменять его настройки на дисках операционной системы и несъемных дисках с данными, необходимо состоять в локальной группе Администраторы . Обычные пользователи могут включать или выключать компонент BitLocker или изменять его конфигурацию на съемных дисках с данными.

Какой порядок загрузки рекомендуется для компьютеров, которые должны быть защищены BitLocker?

Необходимо настроить параметры запуска компьютера так, чтобы жесткий диск в порядке загрузки шел первым, перед всеми остальными дисками, такими как CD- или DVD-диски либо USB-накопители. Если жесткий диск не указан как первый, но загрузка обычно выполняется с жесткого диска, система может определить или предположить изменение порядка загрузки при обнаружении съемного носителя во время загрузки. Порядок загрузки обычно влияет на показатели системы, проверяемые BitLocker. Изменение этого порядка приведет к тому, что вам будет предложено ввести ключ восстановления BitLocker. По этой же причине, если у вас есть ноутбук с док-станцией, убедитесь, что жесткий диск идет первым в порядке загрузки как при стыковке, так и при отстыковке.

Обновление

Можно ли обновить операционную систему на компьютере с Windows 7 или Windows 8 до Windows 10, если включено шифрование BitLocker?

Да. На панели управления найдите элемент Шифрование диска BitLocker , выберите команду Управление BitLocker , а затем - команду Приостановить . Если выполнена приостановка защиты, диск не расшифровывается. В этом случае отключаются механизмы проверки подлинности, которые использует BitLocker, и применяется незащищенный ключ для доступа к диску. После завершения обновления откройте проводник, щелкните диск правой кнопкой мыши и выберите команду Возобновить защиту . Методы проверки подлинности BitLocker вновь станут применяться, а незащищенный ключ будет удален.

В чем разница между приостановкой BitLocker и расшифровкой дисков, защищенных BitLocker?

Команда Расшифровать полностью отменяет защиту при помощи BitLocker и расшифровывает весь диск.

Команда Приостановить оставляет данные зашифрованными, но шифрует основной ключ тома BitLocker с использованием незащищенного ключа. Незащищенным называется криптографический ключ, который хранится на диске без шифрования и защиты. Хранение этого ключа без шифрования позволяет команде Приостановить вносить изменения и выполнять обновления на компьютере, не затрачивая время и ресурсы на расшифровку и повторное шифрование всего диска. После повторного включения BitLocker и внесения изменений эта программа запечатает ключ шифрования с использованием новых показателей компонентов, которые изменились в ходе обновления, основной ключ тома изменится, предохранители обновятся, а незащищенный ключ удалится.

Нужно ли расшифровывать диск, защищенный BitLocker, чтобы скачать и установить обновления системы?

В таблице ниже перечислены действия, которые необходимо выполнить перед обновлением ОС или установкой обновлений.

Примечание

Приостановленную защиту при помощи BitLocker можно возобновить после установки обновления. Когда защита возобновится, BitLocker запечатает ключ шифрования с использованием новых показателей компонентов, которые изменились в ходе обновления. Если такие обновления устанавливаются без приостановки BitLocker, то компьютер после перезагрузки входит в режим восстановления и для доступа к нему требуется ключ восстановления или пароль.

Развертывание и администрирование

Можно ли автоматизировать развертывание BitLocker в корпоративной среде?

Да, развертывание и настройку BitLocker и доверенного платформенного модуля можно автоматизировать с помощью инструментария WMI или сценариев Windows PowerShell. Способ реализации сценариев зависит от среды. Локальную или удаленную настройку BitLocker можно выполнить с помощью Manage-bde.exe. Дополнительные сведения о написании сценариев, использующих поставщики WMI BitLocker, см. в статье Поставщик шифрования диска BitLocker . Узнать больше об использовании командлетов Windows PowerShell с шифрованием дисков BitLocker можно в статье .

Может ли BitLocker шифровать другие диски, кроме диска операционной системы?

Насколько снижается производительность при включении BitLocker на компьютере?

Обычно снижение производительности составляет до десяти процентов.

Сколько времени занимает первоначальное шифрование после включения BitLocker?

Хотя шифрование BitLocker выполняется в фоновом режиме, пока вы продолжаете работу, и система остается доступной, время шифрования зависит от типа диска, его размера и скорости. Шифрование дисков очень большого размера рекомендуется назначить на время, когда они не используются.

При включении BitLocker вы также можете выбрать, следует ли шифровать весь диск или только занятое пространство. На новом жестком диске шифрование лишь используемого пространства выполняется гораздо быстрее, чем шифрование всего диска. После выбора этого варианта шифрования BitLocker автоматически шифрует данные в момент сохранения. Такой способ гарантирует, что никакие данные не будут храниться без шифрования.

Что будет, если выключить компьютер во время шифрования или расшифровки?

Если компьютер выключается или переходит в режим гибернации, то при следующем запуске Windows процесс шифрования и расшифровки при помощи BitLocker возобновляется с места остановки. То же происходит в случае сбоя подачи электропитания.

Выполняет ли BitLocker шифрование и расшифровку всего диска при считывании и записи данных?

Нет, BitLocker не выполняет шифрование и расшифровку всего диска при считывании и записи данных. Секторы, зашифрованные на защищенном при помощи BitLocker диске, расшифровываются только по запросу системных операций чтения. Блоки, которые записываются на диск, шифруются до того, как система записывает их на физический диск. На диске с защитой BitLocker данные никогда не остаются незашифрованными.

Как запретить пользователям в сети сохранять данные на незашифрованном диске?

Вы можете настроить параметры групповой политики так, чтобы запись данных на диски компьютера, защищенного с помощью BitLocker, была невозможна без предварительного включения защиты BitLocker для этих дисков. .

Если включены соответствующие параметры политики, то операционная система с защитой BitLocker будет подключать диски с данными, не защищенные BitLocker, в режиме только для чтения.

Какие изменения системы приводят к появлению ошибки при проверке целостности диска с операционной системой?

Появление ошибки при проверке целостности могут вызывать указанные ниже типы изменений системы. В этом случае доверенный платформенный модуль не предоставляет ключ BitLocker для расшифровки защищенного диска операционной системы.

Перемещение диска с защитой BitLocker в новый компьютер.

Установка новой системной платы с новым доверенным платформенным модулем.

Выключение, деактивация или очистка доверенного платформенного модуля.

Изменение каких-либо параметров конфигурации загрузки.

Изменение встроенного ПО BIOS или UEFI, основной загрузочной записи (MBR), загрузочного сектора, диспетчера загрузки, дополнительного ПЗУ, а также других компонентов ранней загрузки или данных конфигурации загрузки.

В каком случае BitLocker запускается в режиме восстановления при попытке запустить диск операционной системы?

Так как компонент BitLocker предназначен для защиты компьютера от многочисленных атак, существует множество причин, по которым BitLocker может запускаться в режиме восстановления. В BitLocker восстановление состоит в расшифровке копии основного ключа тома при помощи ключа восстановления, хранящегося на USB-накопителе, или при помощи криптографического ключа, полученного с использованием пароля восстановления. Доверенный платформенный модуль не участвует ни в одном сценарии восстановления. Это значит, что восстановление возможно даже при появлении ошибки во время проверки компонентов загрузки с помощью этого модуля, а также при его сбое или удалении.

Можно ли менять жесткие диски на компьютере, если для его диска операционной системы включено шифрование BitLocker?

Да, на одном компьютере с включенным шифрованием BitLocker можно менять жесткие диски, но при условии, что для них включалась защита BitLocker на этом же компьютере. Ключи BitLocker уникальны для доверенного платформенного модуля и диска операционной системы. Поэтому, чтобы подготовить резервный диск с операционной системой или диск с данными на случай отказа диска, убедитесь, что для них используется тот же доверенный платформенный модуль. Можно также настроить разные жесткие диски для различных операционных систем, а затем включить для каждого диска BitLocker, указав разные методы проверки подлинности (например, на одном диске только доверенный платформенный модуль, а на другом - доверенный платформенный модуль с вводом ПИН-кода), и это не приведет к конфликтам.

Можно ли получить доступ к жесткому диску, защищенному BitLocker, если установить его на другой компьютер?

Да, если это диск с данными, его можно разблокировать обычным образом, выбрав элемент Шифрование диска BitLocker на панели управления (с помощью пароля или смарт-карты). Если для диска с данными настроено только автоматическое снятие блокировки, вам придется использовать ключ восстановления, чтобы разблокировать этот диск. Зашифрованный жесткий диск можно разблокировать с помощью агента восстановления данных (если он настроен) или с помощью ключа восстановления.

Почему недоступна команда "Включить BitLocker", если щелкнуть диск правой кнопкой мыши?

Некоторые диски невозможно зашифровать при помощи BitLocker. Это происходит по нескольким причинам. Например, размер диска может быть слишком мал, файловая система может быть несовместимой, диск может быть динамическим либо назначенным в качестве системного раздела. По умолчанию системный диск (или системный раздел) не отображается. Но если диск (или раздел) не был скрыт при выборочной установке операционной системы, его можно отобразить, но не зашифровать.

Какие типы конфигураций дисков поддерживаются BitLocker?

Защита BitLocker возможна для любого числа внутренних несъемных дисков. В некоторых версиях поддерживаются накопители с прямым подключением и интерфейсом ATA или SATA.

Управление ключами

В чем разница между паролем владельца доверенного платформенного модуля, паролем восстановления, ключом восстановления, паролем, ПИН-кодом, улучшенным ПИН-кодом и ключом запуска?

BitLocker может создавать и использовать различные ключи. Некоторые из них использовать обязательно, остальные можно применять как дополнительные предохранители в зависимости от требуемого уровня безопасности.

Где хранить пароль восстановления и ключ восстановления?

Пароль восстановления или ключ восстановления для диска операционной системы или несъемного диска с данными можно сохранить в папке, на одном или нескольких USB-устройствах, в своей учетной записи Майкрософт или распечатать.

Пароль восстановления и ключ восстановления для съемных дисков с данными можно сохранить в папке или учетной записи Майкрософт, а также распечатать. По умолчанию ключ восстановления для съемного носителя невозможно хранить на съемном носителе.

Администратор домена может настроить дополнительную групповую политику для автоматического создания паролей восстановления и сохранения их в доменных службах Active Directory (AD DS) для всех дисков, защищенных BitLocker.

Можно ли добавить дополнительный метод проверки подлинности без расшифровки диска, если включен только метод проверки подлинности на основе доверенного платформенного модуля?

С помощью программы командной строки Manage-bde.exe можно заменить режим проверки подлинности, в котором используется только доверенный платформенный модуль, на режим многофакторной проверки подлинности. Например, если компонент BitLocker включен только с проверкой подлинности на основе доверенного платформенного модуля, то для добавления проверки подлинности с использованием ПИН-кода введите следующие команды из командной строки с повышенными привилегиями, заменив <4-20 digit numeric PIN> на нужный числовой ПИН-код:

manage-bde –protectors –delete %systemdrive% -type tpm

manage-bde –protectors –add %systemdrive% -tpmandpin <4-20 digit numeric PIN>

Можно ли восстановить данные, защищенные BitLocker, если утрачены средства восстановления?

Компонент BitLocker разработан так, что зашифрованный диск невозможно восстановить, минуя обязательную проверку подлинности. В режиме восстановления для разблокировки зашифрованного диска пользователю необходим пароль восстановления или ключ восстановления.

Важно

Храните данные, необходимые для восстановления, в AD DS, своей учетной записи Майкрософт или другом надежном расположении.

Можно ли хранить ключ восстановления на том же USB-устройстве флэш-памяти, на котором хранится ключ запуска?

Хранение обоих ключей на одном USB-устройстве флэш-памяти технически возможно, но не рекомендуется. В случае утери или кражи USB-устройства флэш-памяти с ключом запуска также теряется доступ к ключу восстановления. Кроме того, при вставке такого ключа произойдет автоматическая загрузка компьютера по ключу восстановления, даже если изменились файлы, показатели которых определяются доверенным платформенным модулем, и проверка целостности системы не будет выполнена.

Можно ли хранить ключ запуска на нескольких USB-устройствах флэш-памяти?

Да, ключ запуска компьютера можно хранить на нескольких USB-устройствах флэш-памяти. Щелкните правой кнопкой мыши диск, защищенный BitLocker, и выберите команду Управление BitLocker , чтобы открыть параметры для копирования ключей восстановления.

Можно ли хранить несколько разных ключей запуска на одном USB-устройстве флэш-памяти?

Да, на одном USB-устройстве флэш-памяти можно хранить ключи запуска BitLocker для разных компьютеров.

Можно ли создать несколько различных ключей запуска для одного компьютера?

С помощью сценариев можно создать разные ключи запуска для одного компьютера. Но для компьютеров с доверенным платформенным модулем создание разных ключей запуска не позволяет BitLocker использовать проверку целостности системы, которую выполняет этот модуль.

Можно ли создавать несколько сочетаний ПИН-кода?

Создавать несколько сочетаний ПИН-кода невозможно.

Какие ключи шифрования применяются в BitLocker? Как происходит их совместная работа?

Необработанные данные шифруются полным ключом шифрования тома, который затем шифруется основным ключом тома. Основной ключ тома, в свою очередь, шифруется при помощи одного из нескольких возможных методов в зависимости от типа проверки подлинности (с использованием предохранителей ключа или доверенного платформенного модуля) и сценариев восстановления.

Где хранятся ключи шифрования?

Полный ключ шифрования тома шифруется основным ключом тома и хранится на зашифрованном диске. Основной ключ тома шифруется подходящим предохранителем ключа и хранится на зашифрованном диске. Если защита BitLocker приостанавливается, то незащищенный ключ, которым шифруется основной ключ тома, также хранится на зашифрованном диске вместе с зашифрованным основным ключом тома.

Такая процедура хранения гарантирует, что основной ключ тома никогда не хранится без шифрования и всегда защищен, если не отключено шифрование BitLocker. Ключи также сохраняются в двух дополнительных расположениях на диске для обеспечения избыточности. Диспетчером загрузки может считывать и обрабатывать ключи.

Почему для ввода ПИН-кода или 48-значного пароля восстановления нужно использовать функциональные клавиши?

Клавиши F1–F10 имеют универсальные коды опроса, доступные в предзагрузочной среде на всех компьютерах для всех языков. Клавиши с цифрами от 0 до 9 не используются в предзагрузочной среде на всех клавиатурах.

Если используется улучшенный ПИН-код, пользователям рекомендуется выполнить дополнительную проверку системы в ходе настройки BitLocker, чтобы убедиться, что в предзагрузочной среде можно ввести правильный ПИН-код.

Как BitLocker защищает ПИН-код, снимающий блокировку диска операционной системы, от злоумышленников?

Злоумышленник может узнать ПИН-код при атаке методом подбора. Атака методом подбора выполняется с помощью автоматического средства, которое проверяет различные сочетания ПИН-кода, пока не будет найден правильный код. Для компьютеров, защищенных BitLocker, такой тип взлома, также известный как атака перебором по словарю, требует физического доступа злоумышленника к компьютеру.

Доверенный платформенный модуль обладает встроенными возможностями по выявлению таких атак и противодействию им. Так как в доверенных платформенных модулях различных изготовителей применяются различные меры противодействия взлому ПИН-кода, обратитесь к изготовителю модуля, чтобы определить, как такой модуль на компьютере противодействует взлому ПИН-кода при атаке методом подбора.

После определения изготовителя доверенного платформенного модуля свяжитесь с ним, чтобы получить данные о таком модуле, которые может предоставить только его изготовитель. Большинство изготовителей экспоненциально увеличивают время блокировки интерфейса для ввода ПИН-кода с увеличением количества ошибок при его вводе. При этом каждый изготовитель имеет собственные правила в отношении сброса счетчика ошибок или уменьшения его значений.

Как определить производителя своего доверенного платформенного модуля?

Определить изготовителя доверенного платформенного модуля можно в разделе Сведения об изготовителе TPM на консоли управления TPM (tpm.msc).

Как оценить механизм противодействия атакам перебором по словарю, применяемый в доверенном платформенном модуле?

Задайте изготовителю доверенного платформенного модуля следующие вопросы о механизме противодействия атакам перебором по словарю:

По какому алгоритму определяется продолжительность блокировки с учетом числа неудачных попыток авторизации и других значимых параметров?

Какие действия могут привести к сбросу счетчика ошибок, уменьшению его значений или продолжительности блокировки?

Можно ли изменять длину и сложность ПИН-кода с помощью групповой политики?

И да, и нет. Можно задать минимальную длину ПИН-кода в параметре групповой политики Этот параметр политики позволяет установить минимальную длину ПИН-кода для запуска и разрешить использование буквенно-цифровых ПИН-кодов, включив параметр групповой политики Этот параметр политики позволяет разрешить использование улучшенных ПИН-кодов при запуске компьютера . При этом в групповой политике невозможно задать требования к сложности ПИН-кода.

Дополнительные сведения см. в статье Параметры групповой политики BitLocker .

BitLocker To Go

BitLocker To Go позволяет выполнять шифрование диска BitLocker для съемных носителей с данными. Шифруются USB-устройства флэш-памяти, SD-карты, внешние жесткие диски и другие диски с файловой системой NTFS, FAT16, FAT32 или exFAT.

Доменные службы Active Directory (AD DS)

Что будет, если включить BitLocker на компьютере перед присоединением к домену?

Если на диске включается шифрование BitLocker до применения групповой политики для принудительного резервного копирования, то данные для восстановления не будут проходить автоматическое резервное копирование в AD DS, когда компьютер присоединяется к домену или применяется групповая политика. Но можно использовать параметры групповой политики Этот параметр политики позволяет выбрать метод восстановления дисков операционной системы, защищенных с помощью BitLocker , и Этот параметр политики позволяет выбрать метод восстановления съемных носителей, защищенных с помощью BitLocker , чтобы сделать обязательным подключение компьютера к домену перед включением BitLocker. Это обеспечит резервное копирование в доменных службах Active Directory данных, которые необходимы для восстановления дисков, защищенных BitLocker в организации.

Дополнительные сведения см. в статье Параметры групповой политики BitLocker .

Интерфейс инструментария управления Windows (WMI) для BitLocker позволяет администраторам написать сценарий для резервного копирования или синхронизации существующих данных для восстановления клиента, находящегося в сети, но BitLocker не управляет этим процессом автоматически. Программа командной строки Manage-bde также позволяет вручную создать резервную копию данных для восстановления в AD DS. Например, чтобы создать резервную копию всех данных для восстановления диска C, в AD DS выполните следующую команду из командной строки с повышенными привилегиями: manage-bde -protectors -adbackup C: .

Важно

Первое, что нужно сделать с новым компьютером в организации, - это присоединить его к домену. После присоединения компьютеров к домену сохранение ключа восстановления BitLocker в AD DS выполняется автоматически (если это обеспечено групповой политикой).

Записывается ли в журнал событий на клиентском компьютере результат резервного копирования Active Directory?

Да, на клиентском компьютере в журнал событий заносится запись, показывающая успешный или не успешный результат резервного копирования Active Directory. Но даже в случае, если в журнале событий указано успешное завершение, данные о резервном копировании могут быть удалены из AD DS. Кроме того, конфигурация BitLocker может измениться так, что данные из Active Directory не позволят разблокировать диск (например, если удален предохранитель ключа для пароля восстановления). Кроме того, возможна подделка записи журнала.

Чтобы гарантированно определить наличие достоверной резервной копии в AD DS, необходимо отправить запрос в доменные службы Active Directory с учетными данными администратора домена с помощью средства просмотра паролей BitLocker.

Если изменить пароль восстановления BitLocker на локальном компьютере и сохранить новый пароль в доменных службах Active Directory, перезапишут ли доменные службы старый пароль?

Нет. Пароли восстановления BitLocker не удаляются из доменных служб Active Directory, и поэтому для каждого диска могут отображаться несколько паролей. Чтобы определить последний пароль, проверьте дату объекта.

Что будет, если первоначальное создание резервной копии завершится ошибкой? Будет ли BitLocker повторять резервное копирование?

Если первоначальное резервное копирование завершается ошибкой (например, когда контроллер домена оказывается недоступным во время работы мастера установки BitLocker), то BitLocker не выполняет повторных попыток резервного копирования данных для восстановления в AD DS.

Если администратор установит флажок Этот параметр политики позволяет требовать архивации BitLocker в доменных службах Active Directory в параметре политики Этот параметр политики позволяет хранить сведения о восстановлении BitLocker в доменных службах Active Directory (Windows 2008 и Windows Vista) или (что равносильно) установит флажок Не включать BitLocker до сохранения данных восстановления в доменных службах Active Directory для дисков операционной системы | съемных носителей с данными | несъемных дисков с данными в любом из параметров политики Этот параметр политики позволяет выбрать метод восстановления дисков операционной системы, защищенных с помощью BitLocker , Этот параметр политики позволяет выбрать метод восстановления несъемных дисков, защищенных с помощью BitLocker и Этот параметр политики позволяет выбрать метод восстановления съемных носителей, защищенных с помощью BitLocker , то пользователи не смогут включать BitLocker, когда компьютер не подключен к домену и не создана резервная копия данных для восстановления BitLocker в AD DS. Если заданы эти параметры и резервное копирование завершается ошибкой, то включить BitLocker невозможно. Это гарантирует, что администраторы смогут восстановить все диски с защитой BitLocker в организации.

Дополнительные сведения см. в статье Параметры групповой политики BitLocker .

Если администратор снимает эти флажки, то диск можно защищать с помощью BitLocker без успешного создания резервной копии данных для восстановления в AD DS. При этом BitLocker не повторяет автоматическое создание резервной копии, если оно завершается ошибкой. Вместо этого администраторы могут создать сценарий для резервного копирования, как описано ранее в ответе на вопрос Что будет, если включить BitLocker на компьютере перед присоединением к домену?, чтобы собрать данные после восстановления подключения.

Безопасность

Какой формат шифрования применяется в BitLocker? Можно ли его настроить?

В BitLocker применяется алгоритм шифрования AES с настраиваемой длиной ключа (128 или 256 бит). По умолчанию задано шифрование AES-128, но можно настроить параметры с помощью групповой политики.

Как лучше всего использовать BitLocker на диске с операционной системой?

Для реализации BitLocker на диске с операционной системой рекомендуется использовать на компьютере доверенный платформенный модуль версии 1.2 или более поздней и встроенное ПО BIOS или UEFI, отвечающее стандартам организации TCG, а также ПИН-код. Обязательный ввод ПИН-кода, заданного пользователем, в дополнение к проверке доверенного платформенного модуля, не позволяет злоумышленнику, получившему доступ к компьютеру, просто запустить его.

Какие могут быть последствия при использовании параметров управления питанием (спящий режим и режим гибернации)?

В базовой конфигурации BitLocker на дисках операционной системы (с доверенным платформенным модулем, но без дополнительной проверки подлинности) обеспечивает дополнительную защиту для режима гибернации. Использование дополнительной проверки подлинности BitLocker (доверенный платформенный модуль и ввод ПИН-кода, доверенный платформенный модуль и USB-ключ или доверенный платформенный модуль, ввод ПИН-кода и USB-ключ) обеспечивает повышенную защиту в режиме гибернации. Этот метод надежнее, так как для возврата из режима гибернации требуется проверка подлинности BitLocker. Рекомендуется отключить спящий режим и использовать для проверки подлинности сочетание доверенного платформенного модуля и ПИН-кода.

Каковы преимущества доверенного платформенного модуля?

В большинстве операционных систем используется общее пространство памяти, а за управление физической памятью отвечает операционная система. Доверенный платформенный модуль - это аппаратный компонент, который использует собственное встроенное ПО и внутренние логические схемы для обработки инструкций, обеспечивая защиту от уязвимости внешнего ПО. Для взлома доверенного платформенного модуля необходим физический доступ к компьютеру. Кроме того, для взлома аппаратной защиты обычно требуются более дорогостоящие средства и навыки, которые не столь распространены, как средства взлома программ. Так как доверенный платформенный модуль на каждом компьютере уникален, то для взлома нескольких компьютеров с доверенными платформенными модулями потребуется много времени и сил.

Примечание

Настройка дополнительного фактора проверки подлинности в BitLocker обеспечивает дополнительную защиту от взлома аппаратного доверенного платформенного модуля.

Сетевая разблокировка BitLocker

Сетевая разблокировка BitLocker упрощает управление компьютерами и серверами, защищенными BitLocker с применением доверенного платформенного модуля и ПИН-кода в среде домена. При перезагрузке компьютера, соединенного с проводной корпоративной сетью, сетевая разблокировка позволяет пропустить запрос на введение ПИН-кода. Блокировка томов операционной системы, защищенных BitLocker, автоматически снимается с помощью доверенного ключа, который предоставляется сервером служб развертывания Windows в качестве дополнительного способа проверки подлинности.

Для использования сетевой разблокировки также требуется настроить ПИН-код для компьютера. Если компьютер не подключен к сети, для его разблокировки необходимо ввести ПИН-код.

Сетевая разблокировка BitLocker имеет программные и аппаратные требования для клиентских компьютеров, служб развертывания Windows и контроллеров домена, которые должны быть выполнены, прежде чем вы сможете ее использовать.

При сетевой разблокировке используется два предохранителя: предохранитель доверенного платформенного модуля и предохранитель, предоставляемый сетью или ПИН-кодом, тогда как при автоматической разблокировке используется лишь один предохранитель, хранящийся в доверенном платформенном модуле. Если компьютер присоединяется к сети без предохранителя ключа, отображается запрос на ввод ПИН-кода. Если ПИН-код недоступен, то для разблокировки компьютера, который невозможно подключить к сети, потребуется ключ восстановления.

Дополнительные сведения см. в статье BitLocker: включение сетевой разблокировки .

Другие вопросы

Может ли отладчик ядра работать с BitLocker?

Да. При этом отладчик нужно включать до включения BitLocker. Заблаговременное включение отладчика обеспечивает правильность вычисления показателей состояния при запечатывании в доверенном платформенном модуле, что позволяет компьютеру корректно запускаться. Если нужно включить или выключить отладку при использовании BitLocker, сначала приостановите BitLocker, чтобы не дать компьютеру перейти в режим восстановления.

Как BitLocker работает с дампами памяти?

BitLocker содержит стек драйверов запоминающих устройств, который обеспечивает шифрование дампов памяти при включении BitLocker.

Поддерживает ли BitLocker смарт-карты для предзагрузочной проверки подлинности?

BitLocker не поддерживает смарт-карты для предзагрузочной проверки подлинности. Для поддержки смарт-карт во встроенном ПО отсутствует единый отраслевой стандарт, и в большинстве компьютеров поддержка смарт-карт во встроенном ПО не реализована либо распространяется только на определенные типы смарт-карт и устройств чтения. Отсутствие стандартизации делает слишком сложной задачу поддержки смарт-карт.

Можно ли использовать драйвер доверенного платформенного модуля, разработанный не Майкрософт?

Корпорация Майкрософт не поддерживает драйверы доверенного платформенного модуля сторонних разработчиков и настоятельно не рекомендует использовать их с BitLocker. Использование драйвера доверенного платформенного модуля, разработанного не Майкрософт, вместе с BitLocker может привести к ситуации, в которой BitLocker будет сообщать об отсутствии доверенного платформенного модуля на компьютере, и использование модуля с BitLocker будет невозможным.

Могут ли другие средства, управляющие основной загрузочной записью (MBR) или изменяющие ее, работать совместно с BitLocker?

Не рекомендуется изменять основную загрузочную запись (MBR) на компьютерах, где диски с операционной системой защищаются BitLocker, по соображениям безопасности, надежности и возможности поддержки продукта. Изменение основной загрузочной записи (MBR) может изменить среду безопасности и помешать обычному запуску компьютера, а также усложнить задачу по восстановлению поврежденной основной загрузочной записи MBR. Изменения MBR, внесенные не средствами Windows, могут перевести компьютер в режим восстановления или сделать загрузку абсолютно невозможной.

Почему при шифровании диска с операционной системой проверка системы завершается ошибкой?

Проверка системы позволяет убедиться, что встроенное ПО компьютера (BIOS или UEFI) совместимо с BitLocker, а доверенный платформенный модуль работает правильно. Проверка системы может завершаться ошибкой по следующим причинам:

встроенное ПО компьютера (BIOS или UEFI) не поддерживает чтение с USB-устройств флэш-памяти;

во встроенном ПО компьютера (BIOS или UEFI) или в меню загрузки не включено чтение с USB-устройств флэш-памяти;

в компьютер вставлено несколько USB-устройств флэш-памяти;

неправильно введен ПИН-код;

встроенное ПО компьютера (BIOS или UEFI) поддерживает только функциональные клавиши (F1–F10) для ввода чисел в предзагрузочной среде;

ключ запуска удален до завершения перезагрузки компьютера;

из-за неисправности доверенного платформенного модуля не удалось предоставить ключи.

Что делать, если не удается считать ключ восстановления с USB-устройства флэш-памяти?

Некоторые компьютеры не поддерживают чтение с USB-устройств флэш-памяти в предзагрузочной среде. Сначала проверьте параметры встроенного ПО BIOS или UEFI и параметры загрузки, чтобы убедиться, что включено использование USB-накопителей. Включите использование USB-накопителей в BIOS или UEFI, если оно не включено, и повторите чтение ключа восстановления с USB-устройства флэш-памяти. Если по-прежнему не удается считать ключ, то необходимо подключить жесткий диск в качестве диска с данными к другому компьютеру с операционной системой, чтобы считать ключ восстановления с USB-устройства флэш-памяти. Если USB-устройство флэш-памяти повреждено, то может понадобиться ввести пароль восстановления или использовать данные, необходимые для восстановления, резервная копия которых хранится в доменных службах Active Directory. Кроме того, если ключ восстановления используется в предзагрузочной среде, то убедитесь, что диск имеет файловую систему NTFS, FAT16 или FAT32.

Почему не удается сохранить ключ восстановления на USB-устройстве флэш-памяти?

Пункт меню Save to USB по умолчанию не отображается для съемных носителей. Если этот пункт недоступен, это значит, что системный администратор запретил использование ключей восстановления.

Почему не удается автоматически разблокировать диск?

Для автоматической разблокировки несъемных дисков с данными необходимо, чтобы диск с операционной системой также был защищен BitLocker. Если используется компьютер, где диск с операционной системой не защищается BitLocker, то диск автоматически разблокировать невозможно. Для съемных носителей с данными можно добавить автоматическую разблокировку, если щелкнуть диск правой кнопкой мыши в проводнике и выбрать команду Управление BitLocker . Этот съемный носитель можно разблокировать на других компьютерах, если ввести пароль или учетные данные смарт-карты, указанные при включении BitLocker.

Можно использовать BitLocker в безопасном режиме?

В безопасном режиме доступны ограниченные возможности BitLocker. Диски, защищенные BitLocker, можно разблокировать и расшифровывать, выбрав элемент Шифрование диска BitLocker на панели управления. В безопасном режиме параметры BitLocker невозможно открыть щелчком правой кнопкой мыши по значку диска.

Как заблокировать диск с данными?

Программа командной строки Manage-bde и команда –lock позволяют блокировать как съемные носители, так и встроенные диски с данными.

Примечание

Перед блокировкой диска убедитесь, что на нем сохранены все данные. После блокировки диск станет недоступным.

Синтаксис команды:

manage-bde -lock

Помимо использования этой команды, диски с данными блокируются во время завершения работы или перезапуска операционной системы. Съемный носитель с данными, который отключается от компьютера, также автоматически блокируется.

Можно ли использовать BitLocker вместе со службой теневого копирования томов?

Да. Но теневые копии, созданные до включения BitLocker, автоматически удаляются, когда BitLocker включается для дисков с программным шифрованием. Если используется диск с аппаратным шифрованием, теневые копии сохраняются.

Поддерживает ли BitLocker виртуальные жесткие диски (VHD)?

BitLocker не поддерживается для загрузочных VHD, но поддерживается для VHD томов данных (например, тех, которые используются в кластерах) при работе в Windows 10, Windows 8.1, Windows 8, Windows Server 2012 или Windows Server 2012 R2.